搜索

[18828] 2021-07-26_应急响应之横向移动

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-07-26_应急响应之横向移动 应 急 响 应 之 横 向 移 动 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 7 - 2 6 收 录 于 话 题   # 应 急 响 应   , 2 6 个 0 1 — S M B 横 向 移 动         默 认 情 况 下 ， W i n d o w s   提 供 了 c $ 、 a d m i n s $   和   I P C $ 共 享 ， 这 些 共 享 可 通 过 管 理 员 帐 户 访 问 。 攻 击 者 一 旦 提 升 了 权 限 ， 就 会 从 其 他 主 机 映 射 这 些 共 享 并 复 制 恶 意 软 件 进 行 横 向 移 动 。 由 于 使 用 的 是 W i n d o w s   本 机 服 务 （ 如   n e t . e x e ） 连 接 到 共 享 ， 所 以 在 横 向 移 动 时 会 产 生 较 少 的 告 警 。 下 面 举 例 说 明 。 该 命 令 映 射 计 算 机 1 9 2 . 1 6 8 . 6 8 . 1 2 8 的 c $ 至 本 机 的 M 盘 。 执 行 该 命 令 后 ， 攻 击 主 机 上 会 生 成 一 条 4 6 4 8 的 登 录 记 录 ， 目 标 端 口 是 4 4 5 受 害 主 机 上 同 时 也 会 生 成 三 条 日 志 ， 4 7 7 6   — 计 算 机 尝 试 验 证 帐 户 的 凭 据 4 6 7 2   — 分 配 新 登 录 用 户 的 特 殊 权 限 n e t   u s e   m : 1 9 2 . 1 6 8 . 6 8 . 1 2 8 C $   / U S E R : a d m i n i s t r a t o r
4 6 2 4   — 帐 户 已 成 功 登 录 这 3 个 事 件 在 主 机 上 几 乎 是 同 时 产 生 ， 生 成 这 些 事 件 是 因 为 本 地   N T L M   身 份 验 证   ( 4 7 7 6 )   通 过 本 地 管 理 帐 户   ( 4 6 7 2 )   在 网 络 上 发 生 。 0 2 — P S E X E C 横 向 移 动 在 横 向 移 动 过 程 ， 攻 击 者 通 常 会 使 用 P s E x e c 在 远 程 主 机 执 行 命 令 。 在 客 户 端 执 行 p s e x e c . e x e 后 ， 如 果 服 务 器 认 证 成 功 ， 会 将 p s e x e s v c . e x e 上 传 到 服 务 端 的 A D M I N $ 目 录 并 作 为 服 务 运 行 ， 在 执 行 完 命 令 后 删 除 对 应 的 服 务 和 p s e x e s v c . e x e 。 通 过 对 客 户 端 和 服 务 端 的 事 件 日 志 、 注 册 表 、 文 件 系 统 进 行 分 析 ， 可 以 从 客 户 端 主 机 获 得 连 接 的 目 的 主 机 ， 连 接 时 间 等 信 息 ； 从 服 务 端 主 机 可 以 获 得 连 接 的 客 户 端 信 息 ， 连 接 时 间 等 信 息 。 下 面 举 例 说 明 。 该 命 令 使 用 p s e x e c 在 1 9 2 . 1 6 8 . 6 8 . 1 2 8 上 执 行 命 令 。 受 害 机 器 安 全 日 志 生 成 多 条 连 续 日 志 ， 其 中 找 到 事 件 I D 4 6 4 8 ， 通 过 p s e x e s v c . e x e 使 用 显 式 凭 据 登 录 系 统 ， 事 件 I D   4 6 2 4 认 证 成 功 ， 记 录 登 录 用 户 名 ， 而 后 事 件 I D 4 6 7 2 为 用 户 提 升 权 限 ， 事 件 I D 4 7 7 6 记 录 源 工 作 站 为 w i n 1 0 ， 即 来 源 主 机 的 名 称 是 w i n 1 0 ， 而 后 会 在 事 件 I D 为 4 6 2 4 记 录 来 源 I P ， 认 证 方 式 是 n t l m s s p ， 登 录 类 型 是 3 （ 网 络 ） 。 p s e x e c . e x e   1 9 2 . 1 6 8 . 6 8 . 1 2 8     - u   a d m i n i s t r a t o r   - p   r o o t @ 1 2 3   c m d

系 统 日 志 ， 产 生 两 条 连 续 的 日 志 ， 事 件 I D 7 0 4 5   记 录 “ P S E X E S V C ” 的 服 务 被 安 装 ， 事 件 I D 7 0 3 6   “ P S E X E S V C 服 务 已 经 启 动 ” 。
当 P s E x e c 执 行 e x i t 退 出 交 互 式 命 令 行 后 ， 安 全 日 志 生 成 事 件 I D 4 6 3 4 注 销 登 录 ， 登 录 类 型 3 （ 网 络 ） ， 事 件 I D 7 0 3 6 P S E X E S V C 服 务 停 止 ， 系 统 上 p s e x e s v c 服 务 删 除 。
如 果 利 用 p s e x e c 执 行 木 马 ， 会 在 目 标 主 机 C : W i n d o w s 目 录 下 生 成 先 P S E X E S V C . E X E ， 而 后 s h e l l . e x e 上 传 到 目 标 主 机 ， 木 马 执 行 后 P S E X E S V C . E X E 自 删 除 。 备 注 ： 登 录 类 型 3 ： 网 络 （ N e t w o r k ） 当 你 从 网 络 的 上 访 问 一 台 计 算 机 时 登 录 类 型 为 3 ， 最 常 见 的 情 况 就 是 连 接 到 共 享 文 件 夹 或 者 共 享 打 印 机 时 。 p s e x e c . e x e   1 9 2 . 1 6 8 . 6 8 . 1 2 8     - u   a d m i n i s t r a t o r   - p   r o o t @ 1 2 3   - d     - c     s h e l l . e x e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理